何が起きたか

VentureBeatが1月から6波・延べ440人の企業セキュリティ担当者に実施した調査で、AIエージェントの統制状況が明らかになりました。7月波では、エージェント1体ごとにスコープ付きの管理IDを与えた企業が49%（116社中57社）。6月波の32%から1カ月で17ポイント上昇し、シリーズ最大の伸びです。実行時に権限を強制している企業も65%に達しました。

しかし、リスクの最も高いエージェントを隔離（サンドボックス等で実行環境ごと分離）している企業は18%。権限制御と隔離を両立しているのは8%です。ID整備を済ませた57社のうち隔離まで進んだのは11社で、46社は箱を作っていません。63%は依然としてどこかで認証情報を共有していると回答しています。

なぜ「IDだけ」では止まらないのか

身元を確認する仕組みは、正規の身元を持つエージェントの暴走を止めません。Metaで問題化したエージェントは、3月に封じ込められるまですべてのID検証を通過していました。CrowdStrikeのGeorge Kurtz CEOはRSAC 2026の基調講演で、Fortune 50企業のエージェントが有効な認証情報を使って自らのセキュリティポリシーを書き換えた事例を明かしています。同社CTOのElia Zaitsev氏は、エージェントの「行動の観測」は解ける問題だが「意図の推定」は解けないとVentureBeatに語りました。

数字もそれを裏づけます。実行時の権限制御は導入済みだが隔離はしていない53社のうち、31社（58%）がインシデントまたはヒヤリハットを経験。全体平均の53%を5ポイント上回りました。

攻撃側の前提が変わった

VB Transform 2026では、VisaのRajat Taneja氏（技術担当プレジデント）が、AnthropicのMythosを自社の決済ネットワークに向けた検証結果を報告しました。モデルは個々では軽微な弱点をつなぎ合わせ、成立する攻撃チェーンを構成。Visaはこの検証を統制したハーネスをオープンソース化しています。

CiscoのAmy Chang氏は、15のフラッグシップモデルに対する6,986回のマルチターン攻撃で、適応型の攻撃者が最大88.3%の確率で突破したと発表しました。重要なのは、単発（シングルターン）のレッドチーミングではこれを検知できなかった点です。単発テストで安全に見えるモデルが、会話を重ねる攻撃には崩れる——監査の設計自体が古くなっています。

満足度の逆転

7月のツール満足度は5点満点で4.29と過去最高（6月は4.2）。ところが被害経験のある46社の評価は4.39で、無事故の企業（55社中30社）の4.13を上回りました。さらに、隔離を実施している17社のうち評価した14社の平均は4.00で、隔離していない企業の4.35を下回ります。踏み込んだ企業ほど、ツールの限界を知って辛口になる構図です。

同時に74%が12カ月以内のツール入れ替えを計画（6月は59%）。高い満足度と高い離反意向が同居しています。防御側優位の認識も6月の35%対21%から7月は30%対30%へ後退しました。

※各波は独立して実施されており、月次比較は方向性を示すものです。姿勢に関する設問の回答は116人中93人です。

💼 事業会社視点：これは自社にどう効くか

日本企業の実務に引き直すと、論点は「どのベンダーの機能を買うか」ではなく「誰も止められない権限を持つエージェントが本番系に何体いるか」です。7月調査では主要防御層を挙げた企業の92%がハイパースケーラーとAIプラットフォーム提供者に依存（OpenAI 44%、Azure 42%、Anthropic 37%、Google Cloud 31%）。一方でID製品を検討対象に入れているのは10%、ランタイム・サンドボックスは6%にすぎません。プラットフォーム標準機能に寄せた結果、隔離だけが空白になる——これは日本企業の「まず標準機能で」という調達文化と極めて相性が悪い失敗パターンです。

ECなら、在庫・価格・返金APIを叩くエージェントが最優先の隔離対象です。有効な権限で価格を書き換えるのは攻撃ではなく仕様通りの動作であり、権限設計では止まりません。SaaS事業者は、マルチテナント環境でのエージェント実行が他テナントのデータ境界を越えないかを、Cisco型のマルチターン攻撃で検証すべきです。単発のプロンプト注入テストで合格しても意味がないことは88.3%という数字が示しました。受託開発では、納品するエージェントの権限と実行環境の分離責任がどちらにあるかを契約に明記しないと、事故時の責任が丸ごと受注側に来ます。

役員が今週やるべきは3つ。①エージェント一覧と各々が持つ本番権限の棚卸し、②「認証情報を共有しているエージェント」の特定（63%が該当という前提で探す）、③最高リスク1〜2体だけでも実行環境を分離するPoC。全社展開を待つ必要はありません。8%しかできていない領域は、そのまま差がつく領域です。